各位 Buffer 周末好，以下是本周「FreeBuf周报」，我们总结推荐了本周的热点资讯、安全事件、一周好文和省心工具，保证大家不错过本周的每一个重点！

热点资讯

1. 微软强制中国员工使用iPhone验证身份

据介绍，此举属于微软全球安全未来计划（SFI）的一部分，将影响中国大陆的数百名员工，旨在确保所有员工都使用微软Authenticator密码管理器和Identity Pass身份验证应用。

2. 新型APT组织CloudSorcerer瞄准俄罗斯政府

一个名为 CloudSorcerer的新型APT组织通过滥用公共云服务，对俄罗斯政府机构实施攻击并窃取数据。

3. Apple地理定位API暴露了全球WiFi接入点

在 2024 年黑帽大会的演讲中，马里兰大学研究员 Erik Rye 将演示他是如何在几天内绘制出数亿个接入点的地图的，而在绘制过程中甚至不需要苹果设备或任何权限。

4. 微软或将为子公司违规行为支付85亿美元罚款

名为 noyb 的非营利性欧洲隐私权倡导组织对Xandr 提起诉讼。指控其透明度不高，侵犯欧盟人民的数据访问权。该公司微软子公司，如果监管机构认定其有侵犯隐私权的行为，微软或将面临85亿美元罚款。

5. 替代传统物理密钥，谷歌高级保护计划迎来重大更新

近日，谷歌对其高级保护计划（APP）进行了重大改进，专门针对高风险用户推出了通行密钥，为传统物理安全密钥提供了一个替代方案，从而提升账户的安全性。

安全事件

1. DDoS 攻击再破记录，欧洲最大云服务商OVHcloud甩锅Mikrotik

全球云服务提供商、欧洲最大的云服务提供商之一OVHcloud表示，该公司今年早些时候缓解了一次破纪录的分布式拒绝服务（DDoS）攻击，这次攻击的数据包速率达到了前所未有的每秒8.4亿包（Mpps）。

2. 韩国 ERP 供应商遭黑客攻击，被悄悄安上后门

一家未具名的韩国企业资源规划（ERP）供应商服务器被发现遭到入侵，从而传播了一个名为Xctdoor的基于Go的后门程序。

3. polyfill.io 供应链攻击，超 38 万台主机受影响

在接到多起恶意活动报告后，polyfill.io 域名被暂停。Polyfill.io 域曾用于托管 JavaScript 代码，为不支持某些网络标准的旧版浏览器添加现代功能。

4. RADIUS身份验证协议惊现三十年的漏洞，CERT呼吁紧急关注

网络安全研究人员发现RADIUS网络身份验证协议中存在一个安全漏洞，可以利用该漏洞发动中间人攻击，并在特定情况下绕过完整性检查，CERT、InkBridge Networks等多个安全机构呼吁积极关注该漏洞。

5. 在线PDF工具暴露了数万份用户上传的文件

随着在线文档处理需求的增加，一些看似好用且免费的工具在安全性上可能并不靠谱。据Cyber News消息，两款在线PDF制工具已经暴露了数万份用户上传的文件。

一周好文共读

1. 攻防演练工具 | Oracle数据库getshell的另一种思路

本工具的开发起因是在某次小范围攻防演练中遇到的一个Oracle数据库弱口令，最终通过查阅一些资料达到了getshell的目的。由于利用过程中更多的是手动完成，而小范围攻防演练时间往往较短，因此便在事后开发出了这款能节约部分时间的“半自动”工具，实现原理也很简单。【阅读全文】

2. 云威胁 | 远程桌面协议（RDP）攻击

本文围绕远程桌面协议技术进行模拟实战和探索，远程桌面协议 (RDP) 作为一种普遍应用的远程访问技术，为用户提供了便捷的远程系统访问方式。【阅读全文】

3. 2024年10起重大网络攻击和数据泄露事件

2024年上半年，网络攻击的势头不仅未见减弱，还发生了数起严重威胁公众安全的重大数据泄露和勒索软件攻击事件。为了帮助组织更好地了解过去半年的威胁形势，本文整理了2024年迄今为止发生的10起最重大的网络攻击和数据泄露事件【阅读全文】

省心工具

1. ST Smart Things Sentinel：一款针对复杂IoT协议的威胁检测工具

ST Smart Things Sentinel，简称ST，是一款功能强大的安全工具，广大研究人员可以使用该工具检测物联网 (IoT) 设备使用的复杂协议中的安全威胁。【阅读全文】

2. 如何使用Vger对已经过身份验证的Jupyter实例进行安全检测

APKDeepLens是一款针对Android应用程序的安全扫描工具，该工具基于Python开发，旨在扫描和识别Android应用程序（APK文件）中的安全漏洞。【阅读全文】

3. headerpwn：一款针对服务器响应与HTTP Header的模糊测试工具

headerpwn是一款针对服务器响应与HTTP Header的模糊测试工具，广大研究人员可以利用该工具查找网络异常并分析服务器是如何响应不同HTTP Header的。【阅读全文】